CVE-2026-96654: presente nel catalogo CISA KEV

CVE-2026-96654 · CVSS 6.5 MEDIUM · EPSS 2% · KEV 2026-10-20 · patch disponibile

Plex Media Server before 1.43.3.10861 does not correctly neutralize URL values included in 'searchOne,' allowing an attacker to call other plugins' functions and supply their own parameters.

CVE-2026-96654 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-10-20.
• Scadenza di remediation federale: 2026-10-23.
• Oltre quella data da 14 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 2%.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

• Plex · Media Server · >= 0, < 1.43.3.10861

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di Plex

Cosa ha pubblicato PlainSec su CVE-2026-96654

• Plex2Shell puts QNAP NAS storage at risk (2026-11-06)
• PHP2Shell draws millions of attempts, but no success observed (2026-10-27)
• Exploitation spans Plex, Siemens, SiteGuard and a separate ClickFix lure (2026-10-21)

Fonti primarie

• NVD record
• CISA KEV catalog

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-11-06.